AI / 编程与调试
名字差一个字母的仿冒包、长期没人维护的包，都是攻击入口
同事要引入 [包名] 来实现 [功能]。请给出引入前的审查清单：包名与官方是否一致（[混淆写法] 这类近似名要警惕）、维护活跃度与最近提交、安装脚本会不会执行外部命令、依赖树规模与许可证、下载量与仓库地址。再说明内部私有源怎么配置才不会被同名包劫持。
中文原文
重点看安装时会不会执行脚本，很多恶意包就藏在安装钩子里。